工具名对、参数被换：BiCP在922例固定回放上把已确认注入攻击从83/682压到0/682
核心概要
工具调用型语言模型智能体可能选对工具却执行被注入的参数，而现有反事实防护在评分时保留已含注入决策的推理前缀，会丢失来源敏感性。BiCP在执行前去掉当前步推理前缀，同时用工具名目标和完整调用目标做双轴探测，并按操作风险路由。在922例固定回放上，完整方法把已确认的InjecAgent攻击从83/682降到0/682、不安全条件执行从33/240降到0/240，良性任务成功从66/120升到78/120。
深度剖析
执行前的防护现在同时检查工具名和完整调用参数，因此同一工具下被替换的参数也能被拦下。 只对工具名打分的门控在结构上对同名参数替换不敏感，此前名称门控在253个已知未授权评分提案中只拦下两个，且没有拦下模型实际采纳的五次恶意参数替换。 在922例固定回放上，完整方法把已确认的InjecAgent攻击从83/682降到0/682，把不安全条件执行从33/240降到0/240，同时良性任务成功从66/120升到78/120。
评分前先删掉当前步生成的推理前缀，让来源掩码真正改变被测量的决策信号。 若评分时保留同一段推理，外部观测被掩码后，注入决策仍以另一份表示留在上下文里，来源消融可能测不到变化。 在69个固定历史提案上，等长中性前缀把工具名宏平均AUC从0.7164提到1.0000；Mistral-7B-Instruct-v0.3在同样固定提案上把该值从0.6509提到1.0000，并在五个领域十个家族上复现来源反转，联合p=0.03125。
按操作类别分流：只读发现不调用模型探测，敏感读取进入探测，写操作先做公开证据锚定。 此前所有提案走同一条评分路径，授权发现也要付出模型前向开销。 完整调用前缀切片把评分阶段的前向次数从六次降到三次，在T4上测得约1.95至1.96倍加速；授权发现路径不增加模型前向。
启示与展望
演示范围是模拟工具执行下的固定提案回放与固定评分事件：922例纵向基准、390块独立校准、28单元试点，以及Qwen2.5-7B-Instruct与Mistral-7B-Instruct-v0.3上的固定目标机制对照；真实外部工具执行次数为零。
922例属于纵向标准基准，初步名称基线结果此前已被查看，因此不是全新的盲确认；校准拟合的2/75误拒与基准上零观测攻击都不构成总体保证。端到端生成与部署结果只来自Qwen2.5-7B，Mistral仅复现固定提案机制；47个预留原生任务、跨模型端到端生成与自适应攻击仍属后续工作。